Chaque mois, Luker, directeur de la sécurité chez MetaMask, fait le point sur les dernières attaques crypto et les risques émergents à connaître.
Le fait marquant de septembre 2024 est la tentative de vol de Bitcoin à 243 millions de dollars, l'un des plus grands vols ciblant une seule victime de l'année, qui s'est retournée contre ses auteurs en raison de leur propre arrogance. Par ailleurs, le FBI a saisi un réseau de faux sites de récupération de cryptomonnaies. Et un gang spécialisé dans les cambriolages violents liés au Bitcoin a écopé d'une peine de 47 ans de prison.
Du côté des actualités sécurité MetaMask, nous avons célébré un an de Snaps avec une analyse approfondie de la sécurité des signatures par Kleros. Nous avons également organisé un State of Security axé sur le renseignement sur les menaces avec Wallet Guard. Enfin, Taylor Monahan de MetaMask a partagé son point de vue sur le récent avertissement du FBI concernant des hackers nord-coréens qui ciblent les ETF crypto. Le bilan complet est ci-dessous, mais d'abord...
À la une : Dr. Helen Rodríguez Trías, pionnière de la santé publique
La médecin portoricaine Dr. Helen Rodríguez Trías (1929–2001) a été la première présidente latina de l'American Public Health Association. Elle a défendu les droits à la santé des femmes et des enfants, lutté contre les stérilisations forcées, et pris en charge des patients atteints du VIH et du SIDA dans les années 1980, à une époque où peu osaient le faire. Son engagement tout au long de sa vie — protéger les personnes les plus vulnérables et faire de la sécurité un droit plutôt qu'un privilège — est un modèle inspirant pour toute personne travaillant dans le domaine de la sécurité.
Kleros et MetaMask Snaps célèbrent un an de signature insights
MetaMask Snaps a été lancé il y a 1 an, permettant aux utilisateurs d'étendre les fonctionnalités de leur portefeuille grâce à des extensions personnalisables. Les Security Snaps ont été au cœur de cette initiative. Pour marquer l'occasion, Christian Montoya de MetaMask s'est entretenu avec Guangmian Kung de Kleros, entreprise spécialisée dans la résolution de litiges crypto, pour parler de la protection des signatures. Comme l'a expliqué Montoya, « en permettant aux développeurs de créer des fonctionnalités de sécurité pour les signatures, nous pouvons tirer parti de la puissance de la communauté pour décoder en toute sécurité et aider à protéger les utilisateurs contre les signatures malveillantes grâce à des protections renforcées. » Il a également évoqué la façon dont MetaMask et Consensys aident les développeurs tiers émergents à bâtir des activités pérennes via Snaps, annoncé le lancement prochain de la résolution de noms lisibles par l'humain, et donné un aperçu de la prochaine phase des snaps sans permission. Le Kleros Scout est un Snap axé sur la sécurité qui extrait les métadonnées des contrats depuis les registres décentralisés de tokens organisés par Kleros, afin de fournir des informations sur le contrat avec lequel un utilisateur est sur le point d'interagir.
Arnaques à l'emploi crypto et comment rester en sécurité dans le web3
Que vous soyez en train de recruter ou de chercher un emploi, les arnaques liées au travail ont connu une forte hausse en 2024. Des escrocs créent de fausses offres d'emploi pour inciter des personnes à divulguer des informations sensibles, ou à installer des logiciels malveillants dans le but de leur dérober leurs actifs crypto. Des acteurs malveillants se sont également infiltrés dans des entreprises liées à la blockchain pour y semer le chaos par la porte dérobée.
L'article de MetaMask Support sur la sécurité dans le web3 propose des conseils pour identifier et éviter ces arnaques, notamment en vérifiant la légitimité des offres d'emploi et en protégeant les entreprises.
State of Security : MetaMask et Wallet Guard parlent renseignement sur les menaces
Au cas où vous l'auriez manqué : les chercheurs en sécurité de MetaMask, Miles Nolan et Jackson Brietzke, ont rejoint les animateurs habituels de Wallet Guard, Ohm Shah et Michael Khekoian, pour un épisode axé sur le renseignement sur les menaces du State of Security. Marquant le premier épisode depuis que Wallet Guard a rejoint la famille Consensys, nous partageons comme toujours de nombreux conseils pour rester en sécurité dans l'écosystème crypto.
Le FBI met en garde contre des hackers nord-coréens ciblant les ETF crypto
Comme le rapporte DLNews, le FBI a averti que des hackers nord-coréens ciblent des entreprises impliquées dans des fonds négociés en bourse (ETF) de cryptomonnaies, notamment ceux liés au Bitcoin et à l'Ethereum. Ces hackers, en particulier le groupe Lazarus, sont connus pour leurs cyberattaques sophistiquées et leurs tactiques d'ingénierie sociale visant à dérober des fonds.
Alors que les ETF gagnent en popularité et attirent des investissements considérables, l'avertissement du FBI invite les entreprises à renforcer leur sécurité interne et à se préparer à d'éventuelles attaques.
S'exprimant auprès de DLNews, Taylor Monahan de MetaMask Security a déclaré : « Si j'étais un émetteur d'ETF (ou même si je travaillais dans une entreprise adjacente ou associée à des ETF), je passerais certainement en revue mes contrôles internes en ce moment. » Elle a également émis l'hypothèse que le PSA fédéral pourrait être une tentative de « devancer un hack ».
Des escrocs orchestrent un vol de Bitcoin à 243 millions de dollars
Ce qui s'est passé
Des agents fédéraux ont arrêté 2 personnes pour avoir orchestré un vol de Bitcoin de 243 millions de dollars au détriment d'un résident de Washington, DC, présumé être un créancier de Genesis. Le duo, opérant sous des pseudonymes en ligne, a été accusé d'avoir accédé à plus de 4 100 Bitcoin et de les avoir blanchis depuis août 2024, avant de dépenser sans compter lors de voyages internationaux, en biens de luxe et en locations haut de gamme à Los Angeles et Miami.
Comme l'a détaillé ZachXBT, cette « attaque d'ingénierie sociale très sophistiquée » impliquait de se faire passer pour des agents du support de Google et de l'exchange Gemini afin d'amener la victime à compromettre ses clés Bitcoin, les fonds étant ensuite dispersés sur des exchanges dans un enchevêtrement de Bitcoin, Litecoin, Ethereum et Monero. Le retournement de situation : des vidéos de l'attaque en cours, qui avaient fuité, ont fini par exposer l'identité des attaquants et les détails de leur opération de blanchiment.
Comment les utilisateurs peuvent rester en sécurité
Pour vous protéger, activez l'authentification à deux facteurs (2FA) pour ajouter une couche de sécurité supplémentaire sur tous vos comptes sensibles, et méfiez-vous de toute demande visant à la réinitialiser ou à la désactiver, surtout si elle provient d'appels ou de messages non sollicités. Vérifiez toujours l'identité du personnel de support en contactant directement l'entreprise via ses canaux officiels. Et soyez prudent lorsqu'il s'agit de partager des informations personnelles ou d'autoriser un accès à distance à vos appareils.
Le FBI saisit de faux sites de récupération de cryptomonnaies
Ce qui s'est passé
Le bureau de terrain du FBI à San Diego a récemment agi contre une nouvelle arnaque ciblant les victimes de fraude aux cryptomonnaies, en saisissant les sites web de 3 soi-disant services de récupération de cryptomonnaies : MyChargeBack, Payback LTD et Claim Justice. Ces services prétendaient faussement être en mesure de tracer et de récupérer des fonds en cryptomonnaies perdus, exigeant souvent des frais initiaux importants et des commissions supplémentaires sans tenir leurs promesses. En utilisant les réseaux sociaux et de faux avis, ces entreprises frauduleuses ont exploité l'espoir des victimes de récupérer leurs actifs perdus, les enfonçant davantage dans des pertes financières.
Comment les utilisateurs peuvent rester en sécurité
Faites preuve de prudence et effectuez des recherches approfondies sur tout service de récupération de cryptomonnaies. Méfiez-vous des services qui exigent des paiements initiaux ou qui affichent des taux de réussite irréalistes sans antécédents vérifiables. Vérifiez toujours l'authenticité des personnes qui proposent des services de récupération, surtout si elles prétendent avoir des liens avec des institutions juridiques ou financières. Si quelqu'un vous promet de récupérer des cryptomonnaies volées, abstenez-vous de partager des informations personnelles ou financières et évitez d'effectuer tout paiement.
Les victimes de tels stratagèmes sont encouragées à signaler leurs expériences sur ic3.gov pour aider à lutter contre ces activités frauduleuses.
Des cambriolages violents liés au Bitcoin valent à leur auteur une peine de 47 ans de prison
Ce qui s'est passé
Remy St Felix, un Floridien de 24 ans, a été condamné à 47 ans de prison pour avoir dirigé un groupe criminel impliqué dans une série de cambriolages violents ciblant des détenteurs de cryptomonnaies. Le groupe, composé de 13 complices, a volé 3,5 millions de dollars en Bitcoin et autres actifs numériques par la force, des attaques de SIM-swapping et en menaçant des victimes à main armée en Floride. St Felix a été reconnu coupable de plusieurs chefs d'accusation, notamment de complot, d'enlèvement et de fraude électronique, et a été condamné à payer 524 000 dollars de dommages et intérêts. Leurs activités criminelles se sont étendues à travers les États-Unis, du Texas à New York, entre septembre 2022 et juillet 2023. Le gang s'est également livré au blanchiment des fonds volés à l'aide d'outils de finance décentralisée. Un complice, Jarod Gabriel Seemungal, a reçu une peine de 20 ans de prison et a été condamné à payer 4 millions de dollars de dommages et intérêts. Le FBI, ainsi que d'autres agences d'application de la loi, ont joué un rôle crucial dans la traduction en justice des auteurs.
Comment les utilisateurs peuvent se protéger
Les individus devraient renforcer leurs pratiques de sécurité numérique. Cela inclut l'utilisation de mots de passe forts et uniques pour tous les comptes, l'activation de l'authentification à deux facteurs, et la prudence quant au partage d'informations personnelles en ligne. Envisagez également d'utiliser des portefeuilles non-custodial pour stocker des montants importants de cryptomonnaies, car ils sont moins vulnérables aux tentatives de piratage en ligne comme le SIM-swapping. Cet incident rappelle que les détenteurs de cryptomonnaies, comme ceux qui possèdent des monnaies fiduciaires traditionnelles, peuvent être exposés à des menaces physiques.
Mitchell Amador d'Immunefi sur l'impact réel des hacks onchain
Mitchell Amador d'Immunefi a abordé les défis et les opportunités en matière de sécurité blockchain et de bug bounties, soulignant le besoin croissant de personnes qualifiées pour résoudre les problèmes de sécurité, et affirmant que la confiance est au cœur de meilleurs résultats en matière de sécurité. Il a également partagé des idées prospectives, suggérant qu'à l'avenir, de nouveaux systèmes pourraient émerger pour remplacer les anciens, à l'image de la façon dont la technologie bouleverse la finance traditionnelle.
Vulnérabilités courantes dans les protocoles de liquid restaking
Le chercheur en sécurité de Sigma Prime, Elmedin Burnik, a décrit les risques potentiels des protocoles de liquid restaking, tels que les attaques de reentrancy, les problèmes de déni de service et les bugs de distribution des récompenses. Il a expliqué le fonctionnement de ces risques dans des systèmes comme EigenLayer, en s'appuyant sur des exemples concrets tirés d'audits de sécurité. En partageant ces connaissances, Elmedin espère aider les développeurs et les chercheurs à comprendre et à résoudre ces problèmes afin d'améliorer la sécurité de la blockchain.
Le rapport de sécurité crypto de MetaMask pour septembre 2024 a couvert le vol de Bitcoin à 243 millions de dollars retourné contre ses auteurs par leur propre arrogance, le point de vue de Taylor Monahan sur l'avertissement du FBI concernant des hackers nord-coréens qui ciblent les ETF crypto, et la condamnation à 47 ans de prison d'un gang spécialisé dans les cambriolages violents liés au Bitcoin. Consultez les éditions précédentes du rapport de sécurité crypto MetaMask pour découvrir d'autres menaces, tendances et conseils pour rester en sécurité dans l'écosystème.
